CVE-2026-61610
Təsvir
Lychee pulsuz və açıq mənbəli foto-idarəetmə alətidir. Versiya 7.6.1-dən əvvəl, photos_star_visibility anonim olaraq təyin edildikdə, POST /api/v2/Photo::highlight sorğusu çağıranın şəkli görə bildiyini təsdiqləmədən şəkli əldə edə və dəyişdirə bilər. BaseApiRequest::validateResolved() funksiyası avtorizasiyadan əvvəl SetPhotosHighlightedRequest::processValidatedValues() funksiyasını çağırır və PhotoPolicy::canHighlight() funksiyası canSee yoxlaması olmadan anonim çağıranlar üçün true qaytarır. Foto identifikatorlarını təxmin edə bilən autentifikasiya olunmamış hücumçu, uğurlu və tapılmadı cavablarının fərqinə əsaslanaraq mövcud gizli fotoları ayıra bilər və onların is_highlighted statusunu, o cümlədən gizli və ya parolla qorunan albomlardakı fotoların statusunu dəyişə bilər. Problem yalnız standart olmayan anonim ulduz görünürlüyü tənzimləməsindən istifadə edən quraşdırmalarla məhdudlaşır. Bu problem 7.6.1 versiyasında düzəldilib.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| LycheeOrg Lychee | < 7.6.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.